信息安全系统建设：明确目标 提出需求

        目前，我国信息化发展空前迅速，信息安全保障已成为信息化发展的重要部分，政府部门、企事业单位及科研院所、大专院校在结合自身实际需要建设网络信息系统的同时，也在配置安全产品、增加安全功能以保证系统的正常运行。

        那么，如何考虑信息安全系统的建设?怎样选购信息安全产品?选购信息安全产品时要考虑那些因素?安全系统建成后怎样发挥安全产品的作用?这些问题是广大信息安全系统建设者所关心的，本文将就这些问题谈谈个人的一些看法。

        确定安全需求

        建设信息安全系统的首要问题是要搞清楚存在的安全风险，明确安全目标，进而提出安全需求，并以此为基础设计安全解决方案。安全需求的确定涉及以下几个方面：

        政策、标准要全面审查和考虑相关的政策指令，包含与有关安全标准或目标体系结构相符合的东西以及国际、国家、部门、地方等级别上颁发的、强制或指导性的各种规定。

        安全威胁评估安全威胁分成两大类，一类是恶意地利用环境、行动或事件，可能给信息或系统造成的损害。另一类包含授权用户在内的因为纯粹的误操作或偶尔的误用不经意下所犯下的错误，以及系统组件的脆弱性和漏洞。

        任务的安全目标安全目标是从一种大范围、长时期使用的观点提出的，从而可以作为系统的安全风险分析以及选择产品和解决方案的依据。

        信息流及其功能和价值了解系统及其所处理信息的性质非常重要。要分析由于系统资源或系统处理信息的丢失、泄露或被修改对国家、团体和个人在政治影响、社会影响和经济利益方面带来的损害。为了准确地定义安全目标、安全需求，必须了解和分析系统处理或存贮的信息功能、流向和价值。

        选择合适的产品

        信息安全产品按其功能分为几大类，如访问控制类、加密类、入侵检测类等等。每类产品因设计思想和实现模式不同而衍生出各种有特色的产品。对用户来说，需要选择一款最适宜的。首先用户要搞清楚要保护什么?达到什么安全目标?

        安全产品并不是功能越全越好，而且每种产品都有其优点和缺点，没有那家厂商的产品是全方位的冠军，应该以应用需求推动技术采购决策，另外，要考虑安装、配置以及管理的方便性。

        中国信息安全产品测评认证中心代表国家开展对信息安全产品的安全性和可靠性进行测评认证工作，其认证证书具有权威性。在一些特殊的部门和领域，如：涉密系统和军方也有本部门的测评认证中心，他们将根据一些特殊要求和标准对产品进行测评并颁发证书。这些都是用户在选购时可以参考或必须执行的。对涉密系统而言，原则上必须选用国产设备，只有在无相应国产设备时方可选用经国家主管部门批准的国外设备。涉及密码技术的安全保密产品必须获得国家密码主管部门的批准。

        由于信息安全系统的特殊性，所以不论对安全系统的集成商还是产品的提供商，了解其背景、考察其服务能力十分必要。最好选择有成功案例、社会知名度高且信誉好的企业和产品，对技术支持和服务承诺要落实在协议中避免发生纠纷。

        安全功能的配置要和当前系统的整体应用水平配套，对于那些用不到或暂时用不到的功能可以不采购或暂缓采购产品。这样，一是安全目标明确，维护易行;二是经费可以得到有效利用，避免浪费;三是信息技术发展日新月异，购置的产品闲置不用很快将被新的技术产品所取代;四是把下次产品采购的主动权留给自己。

        集成后的测试和维护

        毋庸置疑，信息安全保护措施不是一劳永逸的。信息技术不断发展，网络系统的功能也在不断完善扩充，网络攻击、病毒传播、恶意破坏的手段不断翻新，因此，对安全提出新的需求。这就要求网络安全管理者及时调整安全策略，采取安全措施：

        一、将所有的安全功能模块(产品)集成为一个完整的系统后，需要检查确认集成出的系统是否符合要求。包括：测试安全系统在整个系统中的作用;测试安全系统与网络系统及应用系统的适应性和对它们的影响;跟踪安全保障机制，包括安全管理机制，发现漏洞;完善系统的运行程序和全生命期安全支持计划;准备一份现阶段的安全风险评估报告。

        作为一些重要部门可以邀请权威的测评认证机构对安全系统进行一次检查和测试，以确保系统设计满足安全目标并得到主管部门的认可。

        二、运行维护阶段要对各种安全问题采取措施，以保证系统的安全水平在运行期间不会下降，具体工作如下：

        ⑴做好产品的升级和系统打补丁工作。⑵监测系统的安全性能，包括事故报告。⑶对用户进行安全培训，并对培训进行评估。⑷监测新发现的对系统的安全攻击、系统所受威胁的变化以及其它与安全风险有关的因素。⑸监控配置改动对安全的影响。⑹评估系统改动对安全系统造成的影响。